<div dir="ltr"><div>We're attempting to unify our separate SAML and CAS SSO services under Shibboleth (CAS is currently being handled via Apereo CAS). With Shibboleth, how do you specify the set of attributes released by /serviceValidate or /samlValidate? I didn't find this obvious anywhere under the CasProtocolConfiguration wiki hierarchy.<br clear="all"></div><div><br></div><div>On the slack channel, it was suggested to use groups, as with the following service registration</div><div><br></div><div><font face="monospace"><bean class="net.shibboleth.idp.cas.service.ServiceDefinition"<br>    c:regex="^http(s|)://xxxxxxxxxxxxxx/.*"<br>    p:group="CASApps"<br>    p:singleLogoutParticipant="false"<br>    p:authorizedToProxy="false"/></font><br></div><div><br></div><div>and attribute filter</div><div><br></div><div><font face="monospace"><AttributeFilterPolicy id='releaseForCasUidGroup'><br>    <PolicyRequirementRule xsi:type="OR"><br>        <Rule xsi:type="InEntityGroup" groupID="CASApps" /><br>        <Rule xsi:type="InEntityGroup" groupID="CASApexApps" /><br>    </PolicyRequirementRule><br>        <AttributeRule attributeID='uid'><br>            <PermitValueRule xsi:type='ANY' /><br>        </AttributeRule><br></AttributeFilterPolicy></font><br></div><div><br></div><div>Is this the best practice? I note that the CASServiceRegistry reference provides the <font face="monospace">p:group</font> example that this configuration uses. And if I look for more information on using groups, I find the following doc for InEntityGroupConfiguration, but that page seems to recommend instead the use of AffiliationDescriptorand I haven't yet found good source  on how you might do this or whether it's not actually applicable for CAS (and why).</div><div><br></div><div>We have over 1K CAS service registrations we'll have to migrate.</div><div><br></div><span class="gmail_signature_prefix">-- </span><br><div dir="ltr" class="gmail_signature" data-smartmail="gmail_signature"><div dir="ltr"><font face="arial, sans-serif">Baron Fujimoto <<a href="mailto:baron@hawaii.edu" target="_blank">baron@hawaii.edu</a>> ::: UH Information Technology Services<br>minutas cantorum, minutas balorum, minutas carboratum descendus pantorum</font></div></div></div>